Heartbleed dan Psiphon
4/10/2014 - 2 menit baca
Diperbarui: 26/9/2021
Ringkasan dampak Heartbleed pada Psiphon:
- Beberapa server Psiphon menggunakan versi OpenSSL yang terdampak, menyebabkan server web Python rentan terhadap serangan Heartbleed. Data yang berisiko, di dalam proses komponen server web, mencakup informasi topologi jaringan Psiphon dan statistik penggunaan jaringan selain materi kunci server web.
- Terowongan Psiphon SSH/SSH+ tidak berisiko. Lalu lintas pengguna yang mengalir melalui server Psiphon tidak berisiko. Terowongan Psiphon VPN berpotensi berisiko terhadap serangan man-in-the-middle karena rahasia autentikasi per sesi berada di dalam memori server web Python.
- Pada 8 April 2014, patch OpenSSL diterapkan ke semua server Psiphon yang terdampak. Selain itu, semua kemampuan non-SSH/SSH+ pada server yang terdampak telah dicabut (pembaruan out-of-band ke semua klien), memastikan klien tidak akan mencoba menggunakan materi kunci server web yang berpotensi disusupi di luar terowongan aman.
- Klien Windows tidak menggunakan OpenSSL dan tidak terdampak oleh serangan Heartbleed.
- Klien Android tidak menggunakan OpenSSL untuk terowongannya, tetapi menggunakan Java SSL Android untuk permintaan webnya ke server web Psiphon dan Amazon S3. Karena Android versi 4.1.1 terdampak oleh Heartbleed, aplikasi kami pada versi Android khusus ini tetap rentan terhadap Amazon, server Psiphon, atau man-in-the-middle yang mengintip memori aplikasi.
- Server penjawab otomatis email memiliki versi OpenSSL yang terdampak. Serangan terhadapnya adalah dengan membuatnya melakukan koneksi SSL ke server email jarak jauh (dengan mengirimkan permintaan email dari alamat yang menggunakan server tersebut), yang kemudian dapat mengintip ke dalam memori server email. Hal ini berpotensi mengekspos konten email, termasuk alamatnya. Patch OpenSSL diterapkan pada 8 April 2014.
- Server pemrosesan umpan balik memiliki versi OpenSSL yang terdampak. Server tersebut mungkin telah menggunakan pustaka itu (melalui Python + Boto untuk membuat koneksi SSL ke layanan Amazon AWS dan server Google Gmail. Ini berarti bahwa Amazon atau Google mungkin telah mengakses data umpan balik pengguna. Namun, perlu dicatat bahwa data ini sudah dihosting di Amazon EC2 dan sebagian dari data ini dikirimkan melalui email kepada kami melalui Gmail. Patch OpenSSL diterapkan pada 8 April 2014.
- Psiphon tidak menggunakan versi OpenSSL yang terdampak.